安全認証制度で国内IT市場が変わる…クラウド選びは「安さ」から「説明できる信頼」へ

　その先例ともいえるのが、さくらインターネットだ。同社の「さくらのクラウド」は2023年11月、技術要件の充足を条件にガバメントクラウドに採択された。2026年3月27日、デジタル庁が305項目すべての技術要件への適合を確認し、正式採択となった。約3年をかけて要件を一つずつ埋めた経緯は、「国産」という看板だけでは評価されないことを示している。

「認証を取れば売れる、という単純な話にはならないでしょう。認証は商談の土俵に上がるための条件です。その先は、障害時の対応やサポート、機能の展開スピードで比べられます。ただ、これまで価格表で切られていた中堅ベンダーが、付加価値を説明する機会を得るのは確かです」（同）

　SaaS事業者には注意点もある。ISMAPの運用では、登録済みの基盤上で構築したというだけで、その上のSaaSが登録済みとみなされることはない。新制度でも、基盤の認証が自社の評価にそのまま引き継がれるとは限らない。この前提で準備するのが現実的だ。

「東京・大阪に9割」をどう分散させるか

　安全性の議論は、DCの立地の問題ともつながっている。総務省の「令和7年版 情報通信白書」は、国内DCのおよそ9割が東京圏・大阪圏に集中していると指摘している。大規模な地震や停電が起きれば、影響が一気に広がりかねない。

　政府が進めるのが、電力と通信の整備を一体で考える「ワット・ビット連携」だ。官民懇談会の取りまとめ（2025年6月）は、DCの地方分散を継続的に促す方針を示し、既存の集積地から離れた「GW級」の拠点を複数つくるという長期目標を掲げた。

　動きは具体化している。総務省は2026年7月、分散型DCの実証7件を採択した。九州電力が主導する「九州版ワット・ビットモデル」や、北海道の大学やさくらインターネットなどが加わる分散AI処理の実証、栃木県のケーブルテレビ事業者と組む地域分散DCの実証などだ。

　再生可能エネルギーに恵まれ、冷涼な地域に拠点を置けば、電力コストと脱炭素の課題にも対応しやすい。そこに「運営主体が明確」という安全性の要素が重なれば、地方DCは災害対策と経済安全保障の両方で選ばれる理由を持つ。

「地方には電力の余力や土地がある一方、通信回線の冗長性や運用人材の確保という課題もあります。政策の後押しだけでなく、利用企業にとって扱いやすい接続環境と保守体制をどう整えるかが、定着の分かれ目になるでしょう」（エネルギー政策研究家・佐伯俊也氏）

制度の詳細を待つ間にできること

　制度の詳細が示されるのはこれからだ。だからこそ、今のうちに手をつけられることは多い。

　まずユーザー企業。自社が使っているクラウドやSaaSについて、「データの保管場所」「運営会社の資本関係」「保守の拠点」を一覧にしておくことだ。重要なデータを扱うシステムから優先して確認すればよい。取引先から問われたときにすぐ答えられる状態は、それ自体が信頼になる。データ管理の体制として、統合報告書などで開示する材料にもなる。

　ただし、急な乗り換えは勧めにくい。英国国家サイバーセキュリティセンター（NCSC）も、2022年の指針で、国籍だけで安全性は判断できず、拙速な置き換えが障害を招く危険があると注意を促している。契約更新の時期に合わせて計画的に見直すのが現実的だ。

　次に国内ベンダー。制度が始まるまでの期間は、仕込みの時期だ。できることは大きく三つある。

1．資本関係、運用体制、再委託先、暗号鍵の管理方法を、顧客向けの資料として公開できる形に整える
2．ISMAPやISO/IEC 27017など、既存の第三者評価を取得・更新し、証跡を残す運用を習慣にする
3．顧客が別のサービスに移る際のデータの取り出し方法も明示する